WO2020087758A1 - 异常流量数据识别方法、装置、计算机设备和存储介质 - Google Patents

异常流量数据识别方法、装置、计算机设备和存储介质 Download PDF

Info

Publication number
WO2020087758A1
WO2020087758A1 PCT/CN2018/125709 CN2018125709W WO2020087758A1 WO 2020087758 A1 WO2020087758 A1 WO 2020087758A1 CN 2018125709 W CN2018125709 W CN 2018125709W WO 2020087758 A1 WO2020087758 A1 WO 2020087758A1
Authority
WO
WIPO (PCT)
Prior art keywords
flow data
abnormal
threshold
flow
identification index
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2018/125709
Other languages
English (en)
French (fr)
Inventor
孙家棣
马宁
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ping An Technology Shenzhen Co Ltd
Original Assignee
Ping An Technology Shenzhen Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ping An Technology Shenzhen Co Ltd filed Critical Ping An Technology Shenzhen Co Ltd
Publication of WO2020087758A1 publication Critical patent/WO2020087758A1/zh
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present application relates to the field of computer communication technologies, and in particular, to an abnormal flow data identification method, device, computer equipment, and storage medium.
  • abnormal traffic identification is based on user behavior buried points and SDK (softwa re development kit) to determine abnormal traffic identification indicators and corresponding thresholds such as path repeatability, proportion of front and back end buried points of devices, and number of IP visits. The relationship is realized by the size relationship. As long as one of the abnormal flow identification index values of these abnormal flow identification indexes is greater than the corresponding threshold value, the flow is considered abnormal.
  • each abnormal flow identification index has a different degree of importance in identifying abnormal flow data. 5 See the technology that cannot accurately evaluate the importance of each abnormal flow identification index in identifying abnormal flow data, so it cannot be based on multiple abnormalities
  • the flow identification index comprehensively judges a flow data, and the accuracy of identifying abnormal flow data is low.
  • a method for identifying abnormal traffic data including:
  • the multiple abnormal flow identification indicators of the flow data samples in the sample set are independent variables, and whether the flow data sample is abnormal flow Data is dependent variable;
  • an apparatus for identifying abnormal flow data including:
  • the fitting module is configured to use a logistic function fitting to obtain a factor from the independent variable according to the independent variable and corresponding dependent variable of each flow data sample in the sample set for the sample set containing multiple flow data samples Variable functions;
  • the weight acquisition module is configured to determine the weight corresponding to the abnormal flow identification index based on the fitted function
  • a weighting module configured to determine a weighted sum of the abnormal flow identification index values of negative samples of candidate flow data based on the weights
  • the judgment module is configured to, if the weighted sum is greater than the weighted sum threshold, identify the negative sample of the candidate flow data as abnormal flow data.
  • a computer device which includes a memory and a processor, and the memory stores computer-readable instructions, which when executed by the processor causes the processor Perform the steps of the abnormal flow data identification method described above.
  • a computer-readable storage medium storing computer-readable instructions.
  • the computer-readable instructions are executed by one or more processors, the one or more processors execute the foregoing The steps of the abnormal flow data identification method are described.
  • the foregoing abnormal flow data identification method, device, computer equipment, and storage medium fully and objectively consider the different importance of multiple abnormal flow identification indicators in identifying abnormal flow data, and improve the accuracy of identifying abnormal flow.
  • FIG. 1 is a flowchart of a method for identifying abnormal flow data according to an exemplary embodiment.
  • FIG. 2 is a flowchart of a method for acquiring a negative sample of candidate flow data according to an exemplary embodiment shown in the corresponding embodiment of FIG.
  • FIG. 3 is a flowchart illustrating a method for acquiring purified white list traffic data according to an exemplary embodiment
  • FIG. 4 is an upper limit reference value of all abnormal flow identification index values shown according to an exemplary embodiment
  • FIG. 5 is a schematic diagram showing the inclusion relationship of various types of flow data according to an exemplary embodiment.
  • FIG. 6 is a block diagram of an apparatus for identifying abnormal flow data according to an exemplary embodiment.
  • FIG. 7 is a block diagram of another apparatus for identifying abnormal flow data according to the corresponding embodiment of FIG. 6.
  • FIG. 8 is a block diagram of another apparatus for identifying abnormal flow data according to the corresponding embodiment of FIG. 7.
  • FIG. 9 is a block diagram of a computer device for implementing the foregoing abnormal flow data identification method according to an exemplary embodiment.
  • FIG. 10 is a computer-readable storage medium for implementing the foregoing abnormal flow data identification method according to an exemplary embodiment.
  • the present application first provides a method for identifying abnormal traffic data.
  • the implementation terminal of the present application may be any device, and the implementation terminal may communicate with the outside through a network, which may include a combination of software, hardware, or firmware.
  • FIG. 1 is a flow chart showing a method for identifying abnormal flow data according to an exemplary embodiment. As shown in Figure 1, this method includes the following steps:
  • Step 110 For a sample set containing a plurality of flow data samples, according to the independent variables and corresponding dependent variables of each flow data sample in the sample set, use the logistic function fitting to obtain the dependent variable ’s Function.
  • the multiple abnormal flow identification indexes of the flow data samples in the sample set are independent variables, and whether the flow data sample is abnormal flow data is a dependent variable. In one embodiment, if the flow data sample is abnormal flow data, the dependent variable value is 1, if the flow data sample is not abnormal flow data, the dependent variable value is 0.
  • Step 120 Determine the weight corresponding to the abnormal flow identification index based on the fitted function.
  • the logistic function is
  • Step 130 Determine the weighted sum of the abnormal flow identification index values of the negative samples of the candidate flow data based on the weights.
  • the negative sample of the candidate flow data is a sample from which abnormal flow data is generated according to a predetermined rule.
  • Step 140 If the weighted sum is greater than the weighted sum threshold, identify the negative sample of the candidate flow data as abnormal flow data.
  • FIG. 2 is a flowchart of a method for obtaining a negative sample of candidate flow data according to an exemplary embodiment shown in the corresponding embodiment of FIG. 1. As shown in Figure 2, this method includes the following steps:
  • Step 210 Obtain flow data of all users as a flow data set, where the flow data set includes purified white list flow data and non-purified white list flow data.
  • the white list flow data is pre-screened flow data that is likely to be abnormal flow data with a probability lower than a first threshold, and the cleaned white list flow data is pre-screened to be The probability of abnormal flow data is lower than the second threshold, and the second threshold is lower than the first threshold.
  • the non-purified whitelist flow data is flow data other than the purified whitelist flow data in the data flow set.
  • the flow data is divided into black list flow data, white list flow data, and uncertain flow data according to experience.
  • the blacklist traffic data is the previously recorded traffic data with abnormal traffic behavior or black industry practitioners.
  • the white list flow data is the flow data of users, sales personnel, administrative personnel, and fund users. These flow data are unlikely to be abnormal flow data.
  • Uncertain traffic data is the traffic data except the black list traffic data and white list traffic data in the traffic data. Because there is the possibility of abnormal traffic data in the whitelist traffic data, the purified whitelist traffic data can be further screened. The advantage of this is that it can make the negative sample of the last obtained flow data more in line with the requirements.
  • Step 220 Any abnormal flow identification index is taken from the flow data set.
  • Step 230 Obtain an abnormal flow identification index threshold corresponding to the abnormal flow identification index.
  • the threshold value of the abnormal flow identification index is preset, and when the abnormal flow identification index value is greater than the abnormal flow identification index threshold, the flow data sample corresponding to the abnormal flow identification index value is considered to be a negative sample of candidate flow data .
  • Step 240 Calculate the first ratio of the number of flow data in which the abnormal flow identification index value in the purified white list flow data is greater than the threshold value of the abnormal flow identification index and the number of flow data in the purified white list flow data.
  • Step 250 Calculate a second ratio of the number of flow data in which the abnormal flow identification index value in the non-purified white list flow data is greater than the threshold value of the abnormal flow identification index and the number of flow data in the non-purified white list flow data, to Obtain the absolute value of the difference between the first ratio and the second ratio.
  • Step 260 Change the obtained threshold value of the abnormal flow identification indicator according to the first predetermined rule until The absolute value reaches the maximum, and the corresponding abnormal flow identification index threshold is the target abnormal flow identification index threshold corresponding to the abnormal flow identification index.
  • the threshold of the abnormal flow identification index is used to determine the higher the accuracy rate.
  • the threshold value of the abnormal flow identification index corresponding to the maximum absolute value is two or more different values
  • the threshold value of the abnormal flow identification index corresponding to the smallest first ratio is selected as the target abnormality Threshold for traffic identification indicators.
  • the first predetermined rule is to increase the threshold value of the abnormal flow identification indicator by a predetermined step, and the predetermined step size is based on an upper limit, a lower limit, and a preset step of the threshold of the abnormal flow identification indicator Number of decisions.
  • Step 270 Based on each abnormal flow identification index value and each corresponding target abnormal flow identification index threshold, determine whether the non-purified white list flow data is a negative sample of candidate flow data.
  • the target abnormal flow identification index threshold is based on each abnormal flow identification index value to determine whether the flow data is the abnormal flow identification index threshold with the highest accuracy of the abnormal flow data, so the negative sample of the determined candidate flow data is the most representative. In one embodiment, if any of the abnormal flow identification index values of the flow data is greater than the corresponding target abnormal flow identification index threshold, the flow data is determined to be a negative sample of candidate flow data. The advantage of this is that the negative samples of candidate flow data can be identified to the greatest extent.
  • FIG. 3 is a flowchart illustrating a method for acquiring purified white list flow data according to an exemplary embodiment. As shown in Figure 3, this method includes the following steps:
  • Step 310 Obtain a white list traffic data set.
  • the white list traffic data set includes pure white traffic data and non-pure white traffic data
  • the pure white traffic data is pre-screened from the white list traffic data set
  • is The probability of abnormal flow data is lower than the third threshold flow data
  • the third threshold is lower than the second threshold
  • Step 320 Take any abnormal traffic identification index from the white list traffic data set.
  • Step 330 Obtain an abnormal flow identification index threshold corresponding to the arbitrary abnormal flow identification index
  • Step 340 Calculate a third ratio of the number of flow data in which the value of the abnormal flow identification index in the pure white flow data is greater than the threshold value of the abnormal flow identification index and the number of flow data in the pure white flow data.
  • Step 350 calculating a fourth ratio of the number of flow data in which the abnormal flow identification index value in the non-pure white flow data is greater than the threshold value of the abnormal flow identification index and the number of flow data in the non-pure white flow data to obtain the first The absolute value of the difference between the third ratio and the fourth ratio.
  • Step 360 Change the threshold value of the abnormal flow identification index according to the second predetermined rule until the absolute value reaches the maximum to obtain the target abnormal flow identification index threshold.
  • the threshold value of the abnormal flow identification index corresponding to the maximum absolute value is two or more different values
  • the threshold value of the abnormal flow identification index corresponding to the smallest third ratio is selected as the target The threshold for identifying abnormal traffic.
  • the advantage of this is that the threshold of the abnormal flow identification index corresponding to the smallest third ratio is the best for distinguishing abnormal flow data from pure white flow data and non-pure white flow data.
  • the second predetermined rule is to increase the threshold value of the abnormal flow identification indicator by a predetermined step, and the predetermined step is determined according to an upper limit, a lower limit, and a preset number of steps of the threshold of the abnormal flow identification indicator .
  • Step 370 based on each abnormal flow identification index value and each corresponding target abnormal flow identification index threshold, obtain purified white list flow data from the white list flow data set.
  • the white list flow data Filtered in the collection to obtain the purified whitelist flow data.
  • multiple abnormal flow identification index values are normalized into the interval [0, 1] according to the following formula:
  • x is an abnormal flow identification index value with any abnormal flow identification index to be normalized
  • FIG. 4 is an upper limit reference value of all abnormal flow identification index values shown according to an exemplary embodiment
  • this method includes the following steps:
  • Step 410 Determine an abnormal flow identification indicator to be normalized.
  • Step 420 Obtain the abnormal flow identification index values of all the samples in the sample set corresponding to the abnormal flow identification indexes to be normalized.
  • Step 430 Sort the abnormal flow identification index values in an increasing manner to build an abnormal flow identification index value ranking table corresponding to the abnormal flow identification index to be normalized.
  • Step 440 calculating a value of a product of 99% and the number of abnormal flow identification index values in the abnormal flow identification index value ranking table.
  • Step 450 When the value of the product of 99% and the number of abnormal flow identification index values in the abnormal flow identification index value ranking table is an integer, determine the integer as the integer from the abnormal flow identification index value ranking table
  • the sequence abnormal flow identification index value is the upper limit reference value of all abnormal flow identification index values
  • Step 460 when the value of the product of 99% and the number of abnormal flow identification index values in the abnormal flow identification index value ranking table is not an integer, it is determined from the abnormal flow identification index value ranking table to be less than 99 % And the largest integer of the product of the number of abnormal flow identification index values in the abnormal flow identification index value sorting table is taken as the order of the abnormal flow identification index value above all abnormal flow identification index values Reference value
  • the advantage of this is that the selection of extreme abnormal flow identification index values as the upper limit reference value of all abnormal flow identification index values will affect the final normalized abnormal flow identification index value, which will ultimately affect the judgment of whether it is abnormal flow data As a result, the upper limit reference value of all abnormal flow identification index values is selected in this way
  • FIG. 5 is a schematic diagram showing the inclusion relationship of various types of flow data according to an exemplary embodiment. As shown in Figure 5, the schematic diagram includes:
  • 501 flow data set 502 white list flow data, 503 purified white list flow data, and 504 pure white flow data.
  • 502 white list flow data 502 white list flow data
  • 503 purified white list flow data 504 pure white flow data.
  • 504 pure white flow data 504 pure white flow data.
  • the abnormal flow identification indicators as described above include the following 14.
  • the 14 abnormal traffic identification indicators include: path repeatability ranking, abnormal rate of user risk control parameters, proportion of back-end buried points, risk control IP divergence rate, number of risk control IP access accounts, number of risk control IP access, risk control IP_WIFI name The number, the cumulative risk score of the risk control IP, the average number of users in the risk control IP period, the variance of the users in the risk control IP period, the average number of visits in the risk control IP period, the variance of the number of visits in the risk control IP period, the mobile phone number segment in the period Mean user login and variance of user login in the mobile phone number segment in the period.
  • the present application further provides an apparatus for identifying abnormal flow data. The following is an embodiment of the apparatus of the present application.
  • Fig. 6 is a block diagram of an apparatus for identifying abnormal flow data according to an exemplary embodiment.
  • the abnormal flow data identification device includes:
  • the fitting module 610 is configured to, for a sample set containing multiple flow data samples, use the logistic function fitting to obtain from the independent variables according to the independent variables and corresponding dependent variables of each flow data sample in the sample set Function of dependent variable;
  • the weight acquisition module 620 is configured to determine the weight corresponding to the abnormal flow identification index based on the fitted function
  • the weighting module 630 is configured to determine a weighted sum of abnormal flow identification index values of negative samples of candidate flow data based on the weights;
  • the judgment module 640 is configured to, if the weighted sum is greater than the weighted sum threshold, identify the negative sample of the candidate flow data as abnormal flow data.
  • FIG. 7 is a block diagram of another apparatus for identifying abnormal flow data according to the embodiment corresponding to FIG. 6.
  • the abnormal flow data identification device further includes:
  • the first flow data acquisition module 710 is configured to obtain the flow data of all users as a flow data set, the flow data set includes purified white list flow data and non-purified white list flow data, white list flow data Is the flow data that is pre-screened and the probability of abnormal flow data is lower than the first threshold, the post-purification whitelist flow data is pre-screened and the probability of abnormal flow data is lower than the second threshold Flow data, the second threshold is lower than the first threshold, and the non-purified whitelist flow data is flow data other than the purified whitelist flow data in the data flow set;
  • the first identification indicator acquisition module 720 is configured to take any abnormal flow identification indicator from the flow data set;
  • the first threshold acquisition module 730 is configured to acquire an abnormal flow identification indicator threshold corresponding to the abnormal flow identification indicator
  • the first ratio acquisition module 740 is configured to calculate the number of flow data in which the abnormal flow identification index value in the purified white list flow data is greater than the abnormal flow identification index threshold and the number of flow data in the purified white list flow data
  • First ratio [0084]
  • the first absolute value acquisition module 750 is configured to calculate the number of flow data in which the abnormal flow identification index value in the non-purified white list flow data is greater than the abnormal flow identification index threshold and the flow in the non-purified white list flow data A second ratio of the number of data to obtain the absolute value of the difference between the first ratio and the second ratio;
  • the second threshold acquisition module 760 is configured to change the acquired abnormal flow identification indicator threshold according to a first predetermined rule until the absolute value reaches a maximum, and the corresponding abnormal flow identification indicator threshold is the abnormal flow identification indicator Corresponding target abnormal flow identification index threshold;
  • the negative sample determination module 770 is configured to determine whether the non-purified whitelist flow data is a negative sample of candidate flow data based on each abnormal flow identification index value and each corresponding target abnormal flow identification index threshold.
  • the negative sample determination module 770 is further configured to: in the case that any one of the abnormal flow identification index values of the flow data is greater than the corresponding target abnormal flow identification index threshold, the flow data is determined to be Negative samples of candidate flow data.
  • the second threshold acquisition module 760 is further configured to: select the minimum value when the threshold value of the abnormal flow identification index corresponding to the maximum absolute value is two or more different values
  • the abnormal flow identification index threshold corresponding to the first ratio of is the target abnormal flow identification index threshold.
  • the first predetermined rule includes: increasing the threshold value of the abnormal flow identification index by a predetermined step, the predetermined step size is based on an upper limit, a lower limit, and a preset threshold of the abnormal flow identification index threshold The number of steps is determined.
  • FIG. 8 is a block diagram of another apparatus for identifying abnormal flow data according to the embodiment corresponding to FIG. 7.
  • the abnormal flow data identification device also includes:
  • the second flow data obtaining module 810 is configured to obtain a white list flow data set, where the white list flow data set includes pure white flow data and non-pure white flow data, and the pure white flow data is obtained from the Whitelisted traffic data collection is pre-screened traffic data that has the possibility of abnormal traffic data lower than a third threshold, the third threshold is lower than the second threshold, and non-pure white traffic data is in the whitelisted traffic data collection Flow data other than pure white flow data;
  • the second identification indicator acquisition module 820 is configured to take any abnormal traffic identification indicator from the whitelisted traffic data set;
  • the third threshold acquisition module 830 is configured to acquire an abnormal flow identification index threshold corresponding to the arbitrary abnormal flow identification index;
  • the third ratio acquisition module 840 is configured to calculate a third ratio of the number of flow data in which the abnormal flow identification index value in the pure white flow data is greater than the threshold value of the abnormal flow identification index and the number of flow data in the pure white flow data;
  • the second absolute value acquisition module 850 is configured to calculate the number Four ratios to obtain the absolute value of the difference between the third ratio and the fourth ratio;
  • the fourth threshold acquisition module 860 is configured to change the threshold value of the abnormal flow identification indicator according to the second predetermined rule until the absolute value reaches the maximum to obtain the target abnormal flow identification indicator threshold;
  • the third flow data acquisition module 870 is configured to obtain the purified white list flow data from the white list flow data set based on each abnormal flow identification index value and each corresponding target abnormal flow identification index threshold.
  • the second predetermined rule includes: increasing the threshold value of the abnormal flow identification index by a predetermined step, the predetermined step size is based on an upper limit, a lower limit, and a preset threshold of the abnormal flow identification index threshold The number of steps is determined.
  • a computer device is proposed to perform all or part of the steps of the abnormal flow data identification method shown in any of the above.
  • the computer device includes: at least one processor; and a memory communicatively connected to the at least one processor; wherein, the memory stores instructions executable by the at least one processor, and the instructions are used by the at least one
  • the processor executes to enable the at least one processor to execute the abnormal flow data identification method as shown in any one of the above exemplary embodiments.
  • the computer device 900 according to this embodiment of the present application is described below with reference to FIG. 9.
  • the computer device 900 shown in FIG. 9 is just an example, and should not bring any responsibility to the functions and usage scope of the embodiments of the present application. Any restrictions.
  • the computer device 900 is represented in the form of a general-purpose computing device.
  • the components of the computer device 900 may include but are not limited to: the at least one processing unit 910, the at least one storage unit 920, and a bus 930 connecting different system components (including the storage unit 920 and the processing unit 910).
  • the storage unit stores a program code, and the program code may be executed by the processing unit 910, so that the processing unit 910 executes various exemplary according to the present application described in the “Embodiment Method” section above in this specification Implementation steps.
  • the storage unit 920 may include a readable medium in the form of a volatile storage unit, such as a random access storage unit (RAM) 921 and / or a cache storage unit 922, and may further include a read-only storage unit (ROM) 923.
  • the storage unit 920 may further include a program / utility tool 924 having a set of (at least one) program modules 925.
  • program modules 925 include but are not limited to: an operating system, one or more application programs, other program modules, and program data, Each of these examples or some combination may include an implementation of the network environment.
  • the bus 930 may be one or more of several types of bus structures, including a storage unit bus or a storage unit controller, a peripheral bus, a graphics acceleration port, a processing unit, or a local area using any of a variety of bus structures bus.
  • the computer device 900 may also communicate with one or more external devices 1100 (eg, keyboard, pointing device, Bluetooth device, etc.), and may also communicate with one or more devices that enable a user to interact with the computer device 900, and / or with This enables the computer device 900 to communicate with any device (eg, router, modem, etc.) that communicates with one or more other computing devices. This communication can be performed through the input / output (I / O) interface 950.
  • I / O input / output
  • the computer device 900 can also communicate with one or more networks (such as a local area network (LAN), a wide area network (WAN) and / or a public network, such as the Internet) through a network adapter 960.
  • networks such as a local area network (LAN), a wide area network (WAN) and / or a public network, such as the Internet
  • the network adapter 960 communicates with other modules of the computer device 900 via the bus 930.
  • other hardware and / or software modules may be used in conjunction with the computer device 900, including but not limited to: microcode, device driver, redundant processing unit, external disk drive array, RAID system, tape drive And data backup storage system.
  • the example embodiments described here can be implemented by software, or can be implemented by software in combination with necessary hardware. Therefore, the technical solution according to the embodiments of the present application can be embodied in the form of a software product, and the software product can be stored in a non-volatile storage medium (which can be a CD-ROM, U disk, mobile hard disk, etc.) On the network or on the network, several instructions are included to enable a computing device (which may be a personal computer, server, terminal device, or network device, etc.) to execute the method according to the embodiment of the present application.
  • a computing device which may be a personal computer, server, terminal device, or network device, etc.
  • a storage medium storing computer-readable instructions is proposed, when the computer-readable instructions are executed by one or more processors, causing the one or more processors to execute the above exception Steps in the flow data identification method embodiment.
  • FIG. 10 is a computer-readable storage medium for implementing the method for identifying abnormal flow data according to an exemplary embodiment. As shown in FIG. 10, it includes a computer-readable storage medium 1000 on which a computer program can be stored. A person of ordinary skill in the art may understand that all or part of the process in the method of the foregoing embodiments may be completed by instructing relevant hardware through a computer program.
  • the computer program may be stored in a computer-readable storage medium, and the program may be During execution, the process of the above method embodiments may be included.
  • the aforementioned storage medium may be a non-volatile storage medium such as a magnetic disk, an optical disc, a read-only memory (Read-Only Memory, ROM), or a random access memory (Random Access Memory, RAM), etc.
  • a non-volatile storage medium such as a magnetic disk, an optical disc, a read-only memory (Read-Only Memory, ROM), or a random access memory (Random Access Memory, RAM), etc.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

一种异常流量数据识别方法、装置、计算机设备和存储介质。该方法包括：对于包含多个流量数据样本的样本集，根据样本集中的各流量数据样本的自变量和对应的因变量，使用逻辑斯蒂函数拟合从自变量得到因变量的函数（110）；基于拟合后函数确定与异常流量识别指标对应的权重（120）；基于所述权重确定候选流量数据负样本的异常流量识别指标值的加权和（130），所述候选流量数据负样本是根据预定规则得到的从中产生异常流量数据的样本；如果所述加权和大于加权和阈值，则将该候选流量数据负样本识别为异常流量数据（140）。此方法下，充分考虑了多个异常流量识别指标在识别异常流量数据过程中重要性的不同，提高了识别异常流量的准确性。

Description

异常流量数据识别方法、 装置、 计算机设备和存储介质 技术领域
[0001] 本申请要求 2018年 11月 02日递交、 发明名称为“异常流量数据识别方法、 装置
、 介质及电子设备”的中国专利申请 CN 201811303640.4的优先权， 在此通过引用 将其全部内容合并于此。
[0002] 本申请涉及计算机通信技术领域， 特别是涉及异常流量数据识别方法、 装置、 计算机设备和存储介质。
背景技术
[0003] 目前， 薅羊毛、 黑客攻击等事件的发生都会对互联网服务提供商的设施带来异 常的流量。 在现有技术中， 对异常流量识别是基于用户行为埋点和 SDK (softwa re development kit) 确定路径重复度、 设备前后端埋点占比、 IP访问次数等异常 流量识别指标与相应的阈值的大小关系来实现的， 这些异常流量识别指标的异 常流量识别指标值中只要有一个大于与之相应的阈值， 就认为该流量是异常的 。 本申请的发明人意识到， 在现有技术， 有些流量的某个异常流量识别指标值 虽然超过了相应的阈值， 但该流量数据是异常流量数据可能性低； 有些流量的 某个异常流量识别指标值虽然超过了相应的阈值， 该流量数据是异常流量数据 可能性高。 因此每个异常流量识别指标在识别异常流量数据时的重要程度不同 ， 5见有技术在实现时无法准确评价每个异常流量识别指标在识别异常流量数据 时的重要程度， 从而不能基于多个异常流量识别指标综合对一个流量数据进行 判断， 识别异常流量数据的准确率低。
发明概述
技术问题
问题的解决方案
技术解决方案
[0004] 第一方面， 提供了一种异常流量数据识别方法， 包括：
[0005] 对于包含多个流量数据样本的样本集， 根据样本集中的各流量数据样本的自变 量和对应的因变量， 使用逻辑斯蒂函数拟合从自变量得到因变量的函数， 所述 样本集中流量数据样本的多个异常流量识别指标值为自变量， 该流量数据样本 是否是异常流量数据为因变量；
[0006] 基于拟合后函数确定与异常流量识别指标对应的权重；
[0007] 基于所述权重确定候选流量数据负样本的异常流量识别指标值的加权和， 所述 候选流量数据负样本是根据预定规则得到的从中产生异常流量数据的样本； [0008] 如果所述加权和大于加权和阈值， 则将该候选流量数据负样本识别为异常流量 数据。
[0009] 第二方面， 提供了一种异常流量数据识别装置， 包括：
[0010] 拟合模块， 被配置为对于包含多个流量数据样本的样本集， 根据样本集中的各 流量数据样本的自变量和对应的因变量， 使用逻辑斯蒂函数拟合从自变量得到 因变量的函数；
[0011] 权重获取模块， 被配置为基于拟合后函数确定与异常流量识别指标对应的权重
[0012] 加权模块， 被配置为基于所述权重确定候选流量数据负样本的异常流量识别指 标值的加权和；
[0013] 判断模块， 被配置为如果所述加权和大于加权和阈值， 则将该候选流量数据负 样本识别为异常流量数据。
[0014] 第三方面， 提供了一种计算机设备， 包括存储器和处理器， 所述存储器中存储 有计算机可读指令， 所述计算机可读指令被所述处理器执行时， 使得所述处理 器执行上述所述异常流量数据识别方法的步骤。
[0015] 第四方面， 提供了一种存储有计算机可读指令的计算机可读存储介质， 所述计 算机可读指令被一个或多个处理器执行时， 使得一个或多个处理器执行上述所 述异常流量数据识别方法的步骤。
[0016] 上述异常流量数据识别方法、 装置、 计算机设备和存储介质， 充分并客观地考 虑了多个异常流量识别指标在识别异常流量数据时重要性的不同， 提高了识别 异常流量的准确性。
发明的有益效果 对附图的简要说明
附图说明
[0017] 图 1是根据一示例性实施例示出的一种异常流量数据识别方法的流程图。
[0018] 图 2是根据图 1对应实施例示出的一示例性实施例的获取候选流量数据负样本方 法的流程图。
[0019] 图 3是根据一示例性实施例示出的获取净化后白名单流量数据的方法的流程图
[0020] 图 4是根据一示例性实施例示出的所有异常流量识别指标值的上限参照值
T ^fnwc:
获取方法的流程图。
[0021] 图 5是根据一示例性实施例示出的各个类型流量数据的包含关系的示意图。
[0022] 图 6是根据一示例性实施例示出的一种异常流量数据识别装置的框图。
[0023] 图 7是根据图 6对应实施例示出的另一种异常流量数据识别装置的框图。
[0024] 图 8是根据图 7对应实施例示出的另一种异常流量数据识别装置的框图。
[0025] 图 9是根据一示例性实施例示出的一种用于实现上述异常流量数据识别方法的 计算机设备的框图。
[0026] 图 10是根据一示例性实施例示出的一种用于实现上述异常流量数据识别方法的 计算机可读存储介质。
发明实施例
本发明的实施方式
[0027] 本申请首先提供了一种异常流量数据识别的方法。 本申请的实施终端可以是任 何设备， 实施终端可以与外部通过网络进行通信， 其中可以包括软件、 硬件或 固件的结合。
[0028] 图 1是根据一示例性实施例示出的一种异常流量数据识别方法的流程图。 如图 1 所示， 此方法包括以下步骤：
[0029] 步骤 110， 对于包含多个流量数据样本的样本集， 根据样本集中的各流量数据 样本的自变量和对应的因变量， 使用逻辑斯蒂函数拟合从自变量得到因变量的 函数。
[0030] 其中， 样本集中流量数据样本的多个异常流量识别指标值为自变量， 该流量数 据样本是否是异常流量数据为因变量。 在一个实施例中， 如果流量数据样本为 异常流量数据， 该因变量值为 1， 如果流量数据样本不是异常流量数据， 该因变 量值为 0。
[0031] 步骤 120, 基于拟合后函数确定与异常流量识别指标对应的权重。
[0032] 在一个实施例中， 逻辑斯蒂函数为
Figure imgf000006_0001
[0033] 步骤 130, 基于所述权重确定候选流量数据负样本的异常流量识别指标值的加 权和。
[0034] 在一个实施例中， 所述候选流量数据负样本是根据预定规则得到的从中产生异 常流量数据的样本。
[0035] 步骤 140, 如果所述加权和大于加权和阈值， 则将该候选流量数据负样本识别 为异常流量数据。
[0036] 在加权和大于加权和阈值的情况下， 说明该候选流量数据负样本识别为异常流 量数据， 就将该异常流量数据识别出来。 [0037] 图 2是根据图 1对应实施例示出的一示例性实施例的获取候选流量数据负样本方 法的流程图。 如图 2所示， 此方法包括以下步骤：
[0038] 步骤 210, 获取所有用户的流量数据作为流量数据集合， 所述流量数据集合包 括净化后白名单流量数据和非净化后白名单流量数据。
[0039] 在一个实施例中， 白名单流量数据是事先甄别出的、 为异常流量数据的可能性 低于第一阈值的流量数据， 所述净化后白名单流量数据为事先甄别出的、 为异 常流量数据的可能性低于第二阈值的流量数据， 第二阈值低于第一阈值， 非净 化后白名单流量数据是数据流量集合中所述净化后白名单流量数据以外的流量 数据。 在一个实施例中， 根据经验将流量数据分为黑名单流量数据、 白名单流 量数据和不确定流量数据。 黑名单流量数据是以前记录过的有异常流量行为的 或者黑产从业者的流量数据。 白名单流量数据是用户、 销售人员、 行政人员、 基金用户的流量数据， 这些流量数据是异常流量数据的可能性低。 不确定流量 数据是流量数据中除了黑名单流量数据和白名单流量数据之外的流量数据。 因 为白名单流量数据中还有是异常流量数据的可能， 可以进一步甄别得到净化后 白名单流量数据。 这样做的好处在于， 可以使最后获取的候选流量数据负样本 更符合要求。
[0040] 步骤 220, 从所述流量数据集合任取一异常流量识别指标。
[0041] 步骤 230, 获取与所述异常流量识别指标对应的异常流量识别指标阈值。
[0042] 异常流量识别指标阈值是预先设定好的， 当异常流量识别指标值大于所述异常 流量识别指标阈值时， 就认为该异常流量识别指标值对应的流量数据样本为候 选流量数据负样本。
[0043] 步骤 240， 计算净化后白名单流量数据中异常流量识别指标值大于所述异常流 量识别指标阈值的流量数据数目与净化后白名单流量数据中流量数据数目的第 一比值。
[0044] 步骤 250, 计算非净化后白名单流量数据中异常流量识别指标值大于所述异常 流量识别指标阈值的流量数据数目与非净化后白名单流量数据中流量数据数目 的第二比值， 以获取所述第一比值与第二比值之差的绝对值。
[0045] 步骤 260, 按照第一预定规则改变所述获取的异常流量识别指标阈值， 直至所 述绝对值达到最大， 对应的异常流量识别指标阈值为该异常流量识别指标对应 的目标异常流量识别指标阈值。
[0046] 因为净化后白名单流量数据中候选异常流量数据占比很小， 而非净化后白名单 流量数据中候选异常流量数据占比很大， 所以两者之差的绝对值越大， 说明使 用该异常流量识别指标阈值判断准确率越高。 在一个示例性实施例中， 在所述 最大绝对值对应的异常流量识别指标阈值为两个或两个以上不同值的情况下， 选择最小的第一比值对应的异常流量识别指标阈值为目标异常流量识别指标阈 值。 这样做的好处在于， 最小的第一比值对应的第二比值也最小， 比值之差的 绝对值占第二比值的比例最大， 更能说明该阈值对净化后白名单流量数据和非 净化后白名单流量数据中候选异常流量的区分最好。 在一个示例性实施例中， 所述第一预定规则是将所述异常流量识别指标阈值增加预定步长， 所述预定步 长根据异常流量识别指标阈值的上限、 下限、 以及预设的步长数决定。
[0047] 步骤 270, 基于各异常流量识别指标值和各对应的目标异常流量识别指标阈值 ， 判断非净化后白名单流量数据是否为候选流量数据负样本。
[0048] 目标异常流量识别指标阈值是基于各异常流量识别指标值判断流量数据是否为 异常流量数据的准确率最高的异常流量识别指标阈值， 所以判断出的候选流量 数据负样本最具有代表性。 在一个实施例中， 在流量数据的任意一个异常流量 识别指标值大于对应的目标异常流量识别指标阈值的情况下， 判断该流量数据 为候选流量数据负样本。 这样做的好处在于， 能最大程度识别出候选流量数据 负样本。
[0049] 图 3是根据一示例性实施例示出的获取净化后白名单流量数据的方法的流程图 。 如图 3所示， 此方法包括以下步骤：
[0050] 步骤 310， 获取白名单流量数据集合。
[0051] 在一个实施例中， 所述白名单流量数据集合包括纯白流量数据和非纯白流量数 据， 所述纯白流量数据是从所述白名单流量数据集合中事先甄别出的、 为异常 流量数据的可能性低于第三阈值的流量数据， 所述第三阈值低于第二阈值， 非 纯白流量数据白名单流量数据集合中纯白流量数据之外的流量数据。
[0052] 步骤 320, 从所述白名单流量数据集合任取一异常流量识别指标。 ［0053］ 步骤 330, 获取与所述任取的异常流量识别指标对应的异常流量识别指标阈值
［0054］ 步骤 340， 计算纯白流量数据中异常流量识别指标值大于所述异常流量识别指 标阈值的流量数据数目与纯白流量数据中流量数据数目的第三比值。
［0055］ 步骤 350, 计算非纯白流量数据中异常流量识别指标值大于所述异常流量识别 指标阈值的流量数据数目与非纯白流量数据中流量数据数目的第四比值， 以获 取所述第三比值与第四比值之差的绝对值。
［0056］ 步骤 360, 按照第二预定规则改变所述异常流量识别指标阈值， 直至所述绝对 值达到最大， 以得到目标异常流量识别指标阈值。
［0057］ 在一个实施例中， 在所述最大绝对值对应的异常流量识别指标阈值为两个或两 个以上不同值的情况下， 选择最小的第三比值对应的异常流量识别指标阈值为 目标异常流量识别指标阈值。 这样做的好处在于， 第三比值最小时对应的异常 流量识别指标阈值对纯白流量数据和非纯白流量数据中异常流量数据的区分最 好。 在一个实施例中， 所述第二预定规则是将所述异常流量识别指标阈值增加 预定步长， 所述预定步长根据异常流量识别指标阈值的上限、 下限、 以及预设 的步长数决定。
［0058］ 步骤 370, 基于各异常流量识别指标值和各对应的目标异常流量识别指标阈值 ， 从所述白名单流量数据集合中获取净化后白名单流量数据。
［0059］ 在一个实施例中， 将所述白名单流量数据集合中只要有一个异常流量识别指标 值大于对应的目标异常流量识别指标阈值的非纯白流量数据， 就从所述白名单 流量数据集合中过滤掉， 得到净化后白名单流量数据。 在一个实施例中， 将多 个异常流量识别指标值按照如下公式归一化到［0, 1］区间内：
[]
Figure imgf000009_0001
［0060］ 其中， x是与任一待归一化异常流量识别指标的异常流量识别指标值，
是样本集该待归一化异常流量识别指标的所有异常流量识别指标值的最小值， 是该待归一化异常流量识别指标的所有异常流量识别指标值的上限参照值，
X
是与所述待归一化异常流量识别指标对应的归一化后的特征值。 这样做的好处 在于， 避免了由于不同异常流量识别指标值量度和单位区别太大造成的可比性 较低的问题。
[0061] 图 4是根据一示例性实施例示出的所有异常流量识别指标值的上限参照值
Figure imgf000010_0001
获取方法的流程图。 如图 4所示， 此方法包括以下步骤：
[0062] 步骤 410, 确定待归一化的异常流量识别指标。
[0063] 步骤 420, 获取所述样本集中的所有样本的与所述待归一化的异常流量识别指 标对应的异常流量识别指标值。
[0064] 步骤 430, 对异常流量识别指标值按照递增的方式排序， 以建成与所述待归一 化的异常流量识别指标对应的异常流量识别指标值排序表。
[0065] 步骤 440, 计算 99%与所述异常流量识别指标值排序表中异常流量识别指标值 数目的乘积的数值。
[0066] 步骤 450, 在 99%与所述异常流量识别指标值排序表中异常流量识别指标值数 目的乘积的数值为整数的情况下， 从异常流量识别指标值排序表中确定以该整 数作为次序的异常流量识别指标值为所有异常流量识别指标值的上限参照值
Figure imgf000010_0002
[0067] 如果乘积为整数， 在异常流量识别指标值排序表中就有与该整数对应的异常流 量识别指标值。
[0068] 步骤 460, 在 99%与所述异常流量识别指标值排序表中异常流量识别指标值数 目的乘积的数值不为整数的情况下， 从异常流量识别指标值排序表中确定以小 于 99%与所述异常流量识别指标值排序表中异常流量识别指标值数目的乘积的数 值的最大整数作为次序的异常流量识别指标值为所有异常流量识别指标值的上 限参照值
Figure imgf000011_0001
[0069] 在 99%与所述异常流量识别指标值排序表中异常流量识别指标值数目的乘积的 数值不为整数的情况下， 异常流量识别指标值排序表中就没有与该数值对应的 异常流量识别指标值， 因此可以选择小于 99%与所述异常流量识别指标值排序表 中异常流量识别指标值数目的乘积的数值的最大整数作为次序的异常流量识别 指标值为所有异常流量识别指标值的上限参照值
Figure imgf000011_0002
。 这样做的好处在于， 由于选用极端的异常流量识别指标值作为所有异常流量 识别指标值的上限参照值的会影响最后归一化的异常流量识别指标值， 最终会 影响是否是异常流量数据的判断结果， 用这种方式选用所有异常流量识别指标 值的上限参照值
Figure imgf000011_0003
， 消除了极端的异常流量识别指标值对最终异常流量数据识别结果的干扰， 提 高了异常流量数据识别的准确率。
[0070] 图 5是根据一示例性实施例示出的各个类型流量数据的包含关系的示意图。 如 图 5所示， 该示意图包括：
[0071] 501流量数据集合、 502白名单流量数据、 503净化后白名单流量数据以及 504 纯白流量数据。 在图 5中， 为了便于说明本申请的各实施例， 给出了各组元相对 大小的示例。
[0072] 在一个实施例中， 如前所述的异常流量识别指标包括以下 14个。 这 14个异常流 量识别指标包括： 路径重复度排名、 用户风控参数异常率、 后端埋点比重、 风 控 IP发散率、 风控 IP访问账号数、 风控 IP访问次数、 风控 IP_WIFI名个数、 风控 I P累计风险得分、 风控 IP周期内用户数均值、 风控 IP周期内用户方差、 风控 IP周 期内访问次数均值、 风控 IP周期内访问次数方差、 周期内手机号段用户登录均值 和周期内手机号段用户登录方差。 [0073] 在一个实施例中， 本申请还提供了一种异常流量数据识别装置， 以下是本申请 的装置实施例。
[0074] 图 6是根据一示例性实施例示出的一种异常流量数据识别装置的框图。 如图 6所 示， 该异常流量数据识别装置包括：
[0075] 拟合模块 610， 被配置为对于包含多个流量数据样本的样本集， 根据样本集中 的各流量数据样本的自变量和对应的因变量， 使用逻辑斯蒂函数拟合从自变量 得到因变量的函数；
[0076] 权重获取模块 620, 被配置为基于拟合后函数确定与异常流量识别指标对应的 权重；
[0077] 加权模块 630, 被配置为基于所述权重确定候选流量数据负样本的异常流量识 别指标值的加权和；
[0078] 判断模块 640, 被配置为如果所述加权和大于加权和阈值， 则将该候选流量数 据负样本识别为异常流量数据。
[0079] 可选的， 图 7是根据图 6对应实施例示出的另一种异常流量数据识别装置的框图 。 如图 7所示， 该异常流量数据识别装置还包括：
[0080] 第一流量数据获取模块 710, 被配置为获取所有用户的流量数据作为流量数据 集合， 所述流量数据集合包括净化后白名单流量数据和非净化后白名单流量数 据， 白名单流量数据是为事先甄别出的、 为异常流量数据的可能性低于第一阈 值的流量数据， 所述净化后白名单流量数据为事先甄别出的、 为异常流量数据 的可能性低于第二阈值的流量数据， 第二阈值低于第一阈值， 非净化后白名单 流量数据是数据流量集合中所述净化后白名单流量数据以外的流量数据；
[0081] 第一识别指标获取模块 720, 被配置为从所述流量数据集合任取一异常流量识 别指标；
[0082] 第一阈值获取模块 730, 被配置为获取与所述异常流量识别指标对应的异常流 量识别指标阈值；
[0083] 第一比值获取模块 740， 被配置为计算净化后白名单流量数据中异常流量识别 指标值大于所述异常流量识别指标阈值的流量数据数目与净化后白名单流量数 据中流量数据数目的第一比值； [0084] 第一绝对值获取模块 750， 被配置为计算非净化后白名单流量数据中异常流量 识别指标值大于所述异常流量识别指标阈值的流量数据数目与非净化后白名单 流量数据中流量数据数目的第二比值， 以获取所述第一比值与第二比值之差的 绝对值；
[0085] 第二阈值获取模块 760, 被配置为按照第一预定规则改变所述获取的异常流量 识别指标阈值， 直至所述绝对值达到最大， 对应的异常流量识别指标阈值为该 异常流量识别指标对应的目标异常流量识别指标阈值；
[0086] 负样本判断模块 770， 被配置为基于各异常流量识别指标值和各对应的目标异 常流量识别指标阈值， 判断非净化后白名单流量数据是否为候选流量数据负样 本。
[0087] 在一个实施例中， 所述负样本判断模块 770被进一步配置为： 在流量数据的任 意一个异常流量识别指标值大于对应的目标异常流量识别指标阈值的情况下， 判断该流量数据为候选流量数据负样本。
[0088] 在一个实施例中， 所述第二阈值获取模块 760被进一步配置为： 在所述最大绝 对值对应的异常流量识别指标阈值为两个或两个以上不同值的情况下， 选择最 小的第一比值对应的异常流量识别指标阈值为目标异常流量识别指标阈值。
[0089] 在一个实施例中， 所述第一预定规则包括： 将所述异常流量识别指标阈值增加 预定步长， 所述预定步长根据异常流量识别指标阈值的上限、 下限、 以及预设 的步长数决定。
[0090] 可选的， 图 8是根据图 7对应实施例示出的另一种异常流量数据识别装置的框图 。 该异常流量数据识别装置还包括：
[0091] 第二流量数据获取模块 810, 被配置为获取白名单流量数据集合， 所述白名单 流量数据集合包括纯白流量数据和非纯白流量数据， 所述纯白流量数据是从所 述白名单流量数据集合中事先甄别出的、 为异常流量数据的可能性低于第三阈 值的流量数据， 所述第三阈值低于第二阈值， 非纯白流量数据是白名单流量数 据集合中纯白流量数据之外的流量数据；
[0092] 第二识别指标获取模块 820, 被配置为从所述白名单流量数据集合任取一异常 流量识别指标； [0093] 第三阈值获取模块 830, 被配置为获取与所述任取的异常流量识别指标对应的 异常流量识别指标阈值；
[0094] 第三比值获取模块 840 被配置为计算纯白流量数据中异常流量识别指标值大 于所述异常流量识别指标阈值的流量数据数目与纯白流量数据中流量数据数目 的第三比值；
[0095] 第二绝对值获取模块 850, 被配置为计算非纯白流量数据中异常流量识别指标 值大于所述异常流量识别指标阈值的流量数据数目与非纯白流量数据中流量数 据数目的第四比值， 以获取所述第三比值与第四比值之差的绝对值；
[0096] 第四阈值获取模块 860, 被配置为按照第二预定规则改变所述异常流量识别指 标阈值， 直至所述绝对值达到最大， 以得到目标异常流量识别指标阈值；
[0097] 第三流量数据获取模块 870, 被配置为基于各异常流量识别指标值和各对应的 目标异常流量识别指标阈值， 从所述白名单流量数据集合中获取净化后白名单 流量数据。
[0098] 在一个实施例中， 所述第二预定规则包括： 将所述异常流量识别指标阈值增加 预定步长， 所述预定步长根据异常流量识别指标阈值的上限、 下限、 以及预设 的步长数决定。
[0099] 在一个实施例中， 提出了一种计算机设备， 执行上述任一所示的异常流量数据 识别方法的全部或者部分步骤。 该计算机设备包括： 至少一个处理器； 以及与 所述至少一个处理器通信连接的存储器； 其中， 所述存储器存储有可被所述至 少一个处理器执行的指令， 所述指令被所述至少一个处理器执行， 以使所述至 少一个处理器能够执行如上述任一个示例性实施例所示出的异常流量数据识别 方法。
[0100] 所属技术领域的技术人员能够理解， 本申请的各个方面可以实现为系统、 方法 或程序产品。 因此， 本申请的各个方面可以具体实现为以下形式， 即： 完全的 硬件实施方式、 完全的软件实施方式 （包括固件、 微代码等） ， 或硬件和软件 方面结合的实施方式， 这里可以统称为“电路”、 “模块”或“系统”。
[0101] 下面参照图 9来描述根据本申请的这种实施方式的计算机设备 900。 图 9显示的 计算机设备 900仅仅是一个示例， 不应对本申请实施例的功能和使用范围带来任 何限制。
[0102] 如图 9所示， 计算机设备 900以通用计算设备的形式表现。 计算机设备 900的组 件可以包括但不限于： 上述至少一个处理单元 910、 上述至少一个存储单元 920 、 连接不同系统组件 （包括存储单元 920和处理单元 910） 的总线 930。 其中， 所 述存储单元存储有程序代码， 所述程序代码可以被所述处理单元 910执行， 使得 所述处理单元 910执行本说明书上述“实施例方法”部分中描述的根据本申请各种 示例性实施方式的步骤。 存储单元 920可以包括易失性存储单元形式的可读介质 ， 例如随机存取存储单元 （RAM） 921和 /或高速缓存存储单元 922， 还可以进一 步包括只读存储单元 （ROM） 923。 存储单元 920还可以包括具有一组 （至少一 个） 程序模块 925的程序 /实用工具 924， 这样的程序模块 925包括但不限于： 操作 系统、 一个或者多个应用程序、 其它程序模块以及程序数据， 这些示例中的每 一个或某种组合中可能包括网络环境的实现。 总线 930可以为表示几类总线结构 中的一种或多种， 包括存储单元总线或者存储单元控制器、 外围总线、 图形加 速端口、 处理单元或者使用多种总线结构中的任意总线结构的局域总线。 计算 机设备 900也可以与一个或多个外部设备 1100 （例如键盘、 指向设备、 蓝牙设备 等） 通信， 还可与一个或者多个使得用户能与该计算机设备 900交互的设备通信 ， 和 /或与使得该计算机设备 900能与一个或多个其它计算设备进行通信的任何设 备 （例如路由器、 调制解调器等等） 通信。 这种通信可以通过输入 /输出 （I/O） 接口 950进行。 并且， 计算机设备 900还可以通过网络适配器 960与一个或者多个 网络 （例如局域网 （LAN） ， 广域网 （WAN） 和 /或公共网络， 例如因特网） 通 信。 如图所示， 网络适配器 960通过总线 930与计算机设备 900的其它模块通信。 应当明白， 尽管图中未示出， 可以结合计算机设备 900使用其它硬件和 /或软件模 块， 包括但不限于： 微代码、 设备驱动器、 冗余处理单元、 外部磁盘驱动阵列 、 RAID系统、 磁带驱动器以及数据备份存储系统等。
[0103] 通过以上的实施方式的描述， 本领域的技术人员易于理解， 这里描述的示例实 施方式可以通过软件实现， 也可以通过软件结合必要的硬件的方式来实现。 因 此， 根据本申请实施方式的技术方案可以以软件产品的形式体现出来， 该软件 产品可以存储在一个非易失性存储介质 （可以是 CD-ROM， U盘， 移动硬盘等） 中或网络上， 包括若干指令以使得一台计算设备 (可以是个人计算机、 服务器 、 终端装置、 或者网络设备等) 执行根据本申请实施方式的方法。
[0104] 在一个实施例中， 提出了一种存储有计算机可读指令的存储介质， 该计算机可 读指令被一个或多个处理器执行时， 使得所述一个或多个处理器执行上述异常 流量数据识别方法实施例中的步骤。
[0105] 图 10是根据一示例性实施例示出的一种用于实现上述异常流量数据识别方法的 计算机可读存储介质。 如图 10所示， 包括计算机可读存储介质 1000, 其上可存 储有计算机程序。 本领域普通技术人员可以理解实现上述实施例方法中的全部 或部分流程， 是可以通过计算机程序来指令相关的硬件来完成， 该计算机程序 可存储于一计算机可读取存储介质中， 该程序在执行时， 可包括如上述各方法 的实施例的流程。 其中， 前述的存储介质可为磁碟、 光盘、 只读存储记忆体 (R ead-Only Memory , ROM) 等非易失性存储介质， 或随机存储记忆体 (Random Access Memory , RAM) 等。
[0106] 以上所述实施例的各技术特征可以进行任意的组合， 为使描述简洁， 未对上述 实施例中的各个技术特征所有可能的组合都进行描述， 然而， 只要这些技术特 征的组合不存在矛盾， 都应当认为是本说明书记载的范围。 以上所述实施例仅 表达了本申请的几种实施方式， 其描述较为具体和详细， 但并不能因此而理解 为对本申请专利范围的限制。 应当指出的是， 对于本领域的普通技术人员来说 ， 在不脱离本申请构思的前提下， 还可以做出若干变形和改进， 这些都属于本 申请的保护范围。 因此， 本申请专利的保护范围应以所附权利要求为准。

Claims

权利要求书
[权利要求 i] 一种异常流量数据识别方法， 所述方法包括：
对于包含多个流量数据样本的样本集， 根据样本集中的各流量数据样 本的自变量和对应的因变量， 使用逻辑斯蒂函数拟合从自变量得到因 变量的函数， 所述样本集中流量数据样本的多个异常流量识别指标值 为自变量， 该流量数据样本是否是异常流量数据为因变量； 基于拟合后函数确定与异常流量识别指标对应的权重；
基于所述权重确定候选流量数据负样本的异常流量识别指标值的加权 和， 所述候选流量数据负样本是根据预定规则得到的从中产生异常流 量数据的样本；
如果所述加权和大于加权和阈值， 则将该候选流量数据负样本识别为 异常流量数据。
[权利要求 2] 根据权利要求 1所述的方法， 其中， 所述候选流量数据负样本是根据 如下步骤获得：
获取所有用户的流量数据作为流量数据集合， 所述流量数据集合包括 净化后白名单流量数据和非净化后白名单流量数据， 白名单流量数据 是为事先甄别出的、 为异常流量数据的可能性低于第一阈值的流量数 据， 所述净化后白名单流量数据为事先甄别出的、 为异常流量数据的 可能性低于第二阈值的流量数据， 第二阈值低于第一阈值， 非净化后 白名单流量数据是数据流量集合中所述净化后白名单流量数据以外的 流量数据；
从所述流量数据集合任取一异常流量识别指标； 获取与所述异常流量识别指标对应的异常流量识别指标阈值； 计算净化后白名单流量数据中异常流量识别指标值大于所述异常流量 识别指标阈值的流量数据数目与净化后白名单流量数据中流量数据数 目的第一比值；
计算非净化后白名单流量数据中异常流量识别指标值大于所述异常流 量识别指标阈值的流量数据数目与非净化后白名单流量数据中流量数 据数目的第二比值， 以获取所述第一比值与第二比值之差的绝对值； 按照第一预定规则改变所述获取的异常流量识别指标阈值， 直至所述 绝对值达到最大， 对应的异常流量识别指标阈值为该异常流量识别指 标对应的目标异常流量识别指标阈值；
基于各异常流量识别指标值和各对应的目标异常流量识别指标阈值， 判断非净化后白名单流量数据是否为候选流量数据负样本。
[权利要求 3] 根据权利要求 2所述的方法， 其中， 所述基于各异常流量识别指标值 和各对应的目标异常流量识别指标阈值， 判断非净化后白名单流量数 据是否为候选流量数据负样本， 具体包括：
在流量数据的任意一个异常流量识别指标值大于对应的目标异常流量 识别指标阈值的情况下， 判断该流量数据为候选流量数据负样本。
[权利要求 4] 根据权利要求 2所述的方法， 其中， 所述改变所述异常流量识别指标 阈值直至所述绝对值达到最大， 对应的异常流量识别指标阈值为该异 常流量识别指标对应的目标异常流量识别指标阈值， 包括： 在所述最大绝对值对应的异常流量识别指标阈值为两个或两个以上不 同值的情况下， 选择最小的第一比值对应的异常流量识别指标阈值为 目标异常流量识别指标阈值。
[权利要求 5] 根据权利要求 2所述的方法， 其中， 所述第一预定规则包括： 将所述 异常流量识别指标阈值增加预定步长， 所述预定步长根据异常流量识 别指标阈值的上限、 下限、 以及预设的步长数决定。
[权利要求 6] 根据权利要求 2所述的方法， 其中， 所述净化后白名单流量数据是根 据如下步骤获得：
获取白名单流量数据集合， 所述白名单流量数据集合包括纯白流量数 据和非纯白流量数据， 所述纯白流量数据是从所述白名单流量数据集 合中事先甄别出的、 为异常流量数据的可能性低于第三阈值的流量数 据， 所述第三阈值低于第二阈值， 非纯白流量数据是白名单流量数据 集合中纯白流量数据之外的流量数据；
从所述白名单流量数据集合任取一异常流量识别指标； 获取与所述任取的异常流量识别指标对应的异常流量识别指标阈值； 计算纯白流量数据中异常流量识别指标值大于所述异常流量识别指标 阈值的流量数据数目与纯白流量数据中流量数据数目的第三比值； 计算非纯白流量数据中异常流量识别指标值大于所述异常流量识别指 标阈值的流量数据数目与非纯白流量数据中流量数据数目的第四比值 ， 以获取所述第三比值与第四比值之差的绝对值； 按照第二预定规则改变所述异常流量识别指标阈值， 直至所述绝对值 达到最大， 以得到目标异常流量识别指标阈值； 基于各异常流量识别指标值和各对应的目标异常流量识别指标阈值， 从所述白名单流量数据集合中获取净化后白名单流量数据。
[权利要求 7] 根据权利要求 6所述的方法， 其中， 所述第二预定规则包括： 将所述 异常流量识别指标阈值增加预定步长， 所述预定步长根据异常流量识 别指标阈值的上限、 下限、 以及预设的步长数决定。
[权利要求 8] 一种异常流量数据识别装置， 所述装置包括：
拟合模块， 被配置为对于包含多个流量数据样本的样本集， 根据样本 集中的各流量数据样本的自变量和对应的因变量， 使用逻辑斯蒂函数 拟合从自变量得到因变量的函数；
权重获取模块， 被配置为基于拟合后函数确定与异常流量识别指标对 应的权重；
加权模块， 被配置为基于所述权重确定候选流量数据负样本的异常流 量识别指标值的加权和；
判断模块， 被配置为如果所述加权和大于加权和阈值， 则将该候选流 量数据负样本识别为异常流量数据。
[权利要求 9] 根据权利要求 8所述的装置， 其中， 所述装置还包括：
第一流量数据获取模块， 被配置为获取所有用户的流量数据作为流量 数据集合， 所述流量数据集合包括净化后白名单流量数据和非净化后 白名单流量数据， 白名单流量数据是为事先甄别出的、 为异常流量数 据的可能性低于第一阈值的流量数据， 所述净化后白名单流量数据为 事先甄别出的、 为异常流量数据的可能性低于第二阈值的流量数据， 第二阈值低于第一阈值， 非净化后白名单流量数据是数据流量集合中 所述净化后白名单流量数据以外的流量数据；
第一识别指标获取模块， 被配置为从所述流量数据集合任取一异常流 量识别指标；
第一阈值获取模块， 被配置为获取与所述异常流量识别指标对应的异 常流量识别指标阈值；
第一比值获取模块， 被配置为计算净化后白名单流量数据中异常流量 识别指标值大于所述异常流量识别指标阈值的流量数据数目与净化后 白名单流量数据中流量数据数目的第一比值；
第一绝对值获取模块， 被配置为计算非净化后白名单流量数据中异 常流量识别指标值大于所述异常流量识别指标阈值的流量数据数目与 非净化后白名单流量数据中流量数据数目的第二比值， 以获取所述第 一比值与第二比值之差的绝对值；
第二阈值获取模块， 被配置为按照第一预定规则改变所述获取的异常 流量识别指标阈值， 直至所述绝对值达到最大， 对应的异常流量识别 指标阈值为该异常流量识别指标对应的目标异常流量识别指标阈值； 负样本判断模块， 被配置为基于各异常流量识别指标值和各对应的目 标异常流量识别指标阈值， 判断非净化后白名单流量数据是否为候选 流量数据负样本。
[权利要求 10] 根据权利要求 9所述的装置， 其中， 所述负样本判断模块被进一步配 置为： 在流量数据的任意一个异常流量识别指标值大于对应的目标异 常流量识别指标阈值的情况下， 判断该流量数据为候选流量数据负样 本。
[权利要求 11] 根据权利要求 9所述的装置， 其中， 所述第二阈值获取模块被进一步 配置为： 在所述最大绝对值对应的异常流量识别指标阈值为两个或两 个以上不同值的情况下， 选择最小的第一比值对应的异常流量识别指 标阈值为目标异常流量识别指标阈值。
[权利要求 12] 根据权利要求 9所述的装置， 其中， 所述装置还包括： 第二流量数据获取模块， 被配置为获取白名单流量数据集合， 所述白 名单流量数据集合包括纯白流量数据和非纯白流量数据， 所述纯白流 量数据是从所述白名单流量数据集合中事先甄别出的、 为异常流量数 据的可能性低于第三阈值的流量数据， 所述第三阈值低于第二阈值， 非纯白流量数据是白名单流量数据集合中纯白流量数据之外的流量数 据；
第二识别指标获取模块， 被配置为从所述白名单流量数据集合任取一 异常流量识别指标；
第三阈值获取模块， 被配置为获取与所述任取的异常流量识别指标对 应的异常流量识别指标阈值；
第三比值获取模块， 被配置为计算纯白流量数据中异常流量识别指标 值大于所述异常流量识别指标阈值的流量数据数目与纯白流量数据中 流量数据数目的第三比值；
第二绝对值获取模块， 被配置为计算非纯白流量数据中异常流量识别 指标值大于所述异常流量识别指标阈值的流量数据数目与非纯白流量 数据中流量数据数目的第四比值， 以获取所述第三比值与第四比值之 差的绝对值；
第四阈值获取模块， 被配置为按照第二预定规则改变所述异常流量识 别指标阈值， 直至所述绝对值达到最大， 以得到目标异常流量识别指 标阈值；
第三流量数据获取模块， 被配置为基于各异常流量识别指标值和各对 应的目标异常流量识别指标阈值， 从所述白名单流量数据集合中获取 净化后白名单流量数据。
[权利要求 13] 一种计算机设备， 包括存储器和处理器， 所述存储器中存储有计算机 可读指令， 所述计算机可读指令被所述处理器执行时， 使得所述处理 器执行：
对于包含多个流量数据样本的样本集， 根据样本集中的各流量数据样 本的自变量和对应的因变量， 使用逻辑斯蒂函数拟合从自变量得到因 变量的函数， 所述样本集中流量数据样本的多个异常流量识别指标值 为自变量， 该流量数据样本是否是异常流量数据为因变量； 基于拟合后函数确定与异常流量识别指标对应的权重；
基于所述权重确定候选流量数据负样本的异常流量识别指标值的加权 和， 所述候选流量数据负样本是根据预定规则得到的从中产生异常流 量数据的样本；
如果所述加权和大于加权和阈值， 则将该候选流量数据负样本识别为 异常流量数据。
[权利要求 14] 根据权利要求 13所述的计算机设备， 其中， 所述候选流量数据负样本 是根据如下步骤获得：
获取所有用户的流量数据作为流量数据集合， 所述流量数据集合包括 净化后白名单流量数据和非净化后白名单流量数据， 白名单流量数据 是为事先甄别出的、 为异常流量数据的可能性低于第一阈值的流量数 据， 所述净化后白名单流量数据为事先甄别出的、 为异常流量数据的 可能性低于第二阈值的流量数据， 第二阈值低于第一阈值， 非净化后 白名单流量数据是数据流量集合中所述净化后白名单流量数据以外的 流量数据；
从所述流量数据集合任取一异常流量识别指标； 获取与所述异常流量识别指标对应的异常流量识别指标阈值； 计算净化后白名单流量数据中异常流量识别指标值大于所述异常流量 识别指标阈值的流量数据数目与净化后白名单流量数据中流量数据数 目的第一比值；
计算非净化后白名单流量数据中异常流量识别指标值大于所述异常流 量识别指标阈值的流量数据数目与非净化后白名单流量数据中流量数 据数目的第二比值， 以获取所述第一比值与第二比值之差的绝对值； 按照第一预定规则改变所述获取的异常流量识别指标阈值， 直至所述 绝对值达到最大， 对应的异常流量识别指标阈值为该异常流量识别指 标对应的目标异常流量识别指标阈值；
基于各异常流量识别指标值和各对应的目标异常流量识别指标阈值， 判断非净化后白名单流量数据是否为候选流量数据负样本。
[权利要求 15] 根据权利要求 14所述的计算机设备， 其中， 所述基于各异常流量识别 指标值和各对应的目标异常流量识别指标阈值， 判断非净化后白名单 流量数据是否为候选流量数据负样本， 具体包括： 在流量数据的任意一个异常流量识别指标值大于对应的目标异常流量 识别指标阈值的情况下， 判断该流量数据为候选流量数据负样本。
[权利要求 16] 根据权利要求 14所述的计算机设备， 其中， 所述第一预定规则包括： 将所述异常流量识别指标阈值增加预定步长， 所述预定步长根据异常 流量识别指标阈值的上限、 下限、 以及预设的步长数决定。
[权利要求 17] 一种存储有计算机可读指令的计算机可读存储介质， 所述计算机可读 指令被一个或多个处理器执行时， 使得所述一个或多个处理器执行： 对于包含多个流量数据样本的样本集， 根据样本集中的各流量数据样 本的自变量和对应的因变量， 使用逻辑斯蒂函数拟合从自变量得到因 变量的函数， 所述样本集中流量数据样本的多个异常流量识别指标值 为自变量， 该流量数据样本是否是异常流量数据为因变量； 基于拟合后函数确定与异常流量识别指标对应的权重；
基于所述权重确定候选流量数据负样本的异常流量识别指标值的加权 和， 所述候选流量数据负样本是根据预定规则得到的从中产生异常流 量数据的样本；
如果所述加权和大于加权和阈值， 则将该候选流量数据负样本识别为 异常流量数据。
[权利要求 18] 根据权利要求 17所述的计算机可读存储介质， 其中， 所述候选流量数 据负样本是根据如下步骤获得：
获取所有用户的流量数据作为流量数据集合， 所述流量数据集合包括 净化后白名单流量数据和非净化后白名单流量数据， 白名单流量数据 是为事先甄别出的、 为异常流量数据的可能性低于第一阈值的流量数 据， 所述净化后白名单流量数据为事先甄别出的、 为异常流量数据的 可能性低于第二阈值的流量数据， 第二阈值低于第一阈值， 非净化后 白名单流量数据是数据流量集合中所述净化后白名单流量数据以外的 流量数据；
从所述流量数据集合任取一异常流量识别指标； 获取与所述异常流量识别指标对应的异常流量识别指标阈值； 计算净化后白名单流量数据中异常流量识别指标值大于所述异常流量 识别指标阈值的流量数据数目与净化后白名单流量数据中流量数据数 目的第一比值；
计算非净化后白名单流量数据中异常流量识别指标值大于所述异常流 量识别指标阈值的流量数据数目与非净化后白名单流量数据中流量数 据数目的第二比值， 以获取所述第一比值与第二比值之差的绝对值； 按照第一预定规则改变所述获取的异常流量识别指标阈值， 直至所述 绝对值达到最大， 对应的异常流量识别指标阈值为该异常流量识别指 标对应的目标异常流量识别指标阈值；
基于各异常流量识别指标值和各对应的目标异常流量识别指标阈值， 判断非净化后白名单流量数据是否为候选流量数据负样本。
[权利要求 19] 根据权利要求 18所述的计算机可读存储介质， 其中， 所述基于各异常 流量识别指标值和各对应的目标异常流量识别指标阈值， 判断非净化 后白名单流量数据是否为候选流量数据负样本， 具体包括： 在流量数据的任意一个异常流量识别指标值大于对应的目标异常流量 识别指标阈值的情况下， 判断该流量数据为候选流量数据负样本。
[权利要求 20] 根据权利要求 18所述的计算机可读存储介质， 其中， 所述第一预定规 则包括： 将所述异常流量识别指标阈值增加预定步长， 所述预定步长 根据异常流量识别指标阈值的上限、 下限、 以及预设的步长数决定。
PCT/CN2018/125709 2018-11-02 2018-12-29 异常流量数据识别方法、装置、计算机设备和存储介质 Ceased WO2020087758A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201811303640.4A CN109639633B (zh) 2018-11-02 2018-11-02 异常流量数据识别方法、装置、介质及电子设备
CN201811303640.4 2018-11-02

Publications (1)

Publication Number Publication Date
WO2020087758A1 true WO2020087758A1 (zh) 2020-05-07

Family

ID=66067230

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/125709 Ceased WO2020087758A1 (zh) 2018-11-02 2018-12-29 异常流量数据识别方法、装置、计算机设备和存储介质

Country Status (2)

Country Link
CN (1) CN109639633B (zh)
WO (1) WO2020087758A1 (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109873832B (zh) * 2019-03-15 2020-07-31 北京三快在线科技有限公司 流量识别方法、装置、电子设备和存储介质
CN110348471B (zh) * 2019-05-23 2023-09-01 平安科技（深圳）有限公司 异常对象识别方法、装置、介质及电子设备
CN110399366A (zh) * 2019-07-29 2019-11-01 秒针信息技术有限公司 数据过滤方法、装置、服务器及计算机可读存储介质
CN110933082B (zh) * 2019-11-29 2022-04-29 深信服科技股份有限公司 失陷主机识别方法、装置、设备及存储介质
CN112019547B (zh) * 2020-08-28 2023-04-07 中移（杭州）信息技术有限公司 网络流量评估方法、攻击检测方法、服务器及存储介质
CN112543199B (zh) * 2020-12-07 2022-12-23 北京明略昭辉科技有限公司 Ip异常流量检测方法、系统、计算机设备及存储介质
CN112560961B (zh) * 2020-12-17 2024-04-26 中国平安人寿保险股份有限公司 基于图聚类的目标识别方法、装置、电子设备及存储介质
CN112926659A (zh) * 2021-02-26 2021-06-08 平安普惠企业管理有限公司 实例异常判定方法、装置、计算机设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170061322A1 (en) * 2015-08-31 2017-03-02 International Business Machines Corporation Automatic generation of training data for anomaly detection using other user's data samples
CN107067157A (zh) * 2017-03-01 2017-08-18 北京奇艺世纪科技有限公司 业务风险评估方法、装置及风控系统
CN107169534A (zh) * 2017-07-04 2017-09-15 北京京东尚科信息技术有限公司 模型训练方法及装置、存储介质、电子设备
CN108206046A (zh) * 2017-12-28 2018-06-26 新华三大数据技术有限公司 一种数据处理方法及装置

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8539576B2 (en) * 2008-11-12 2013-09-17 At&T Intellectual Property Ii, L.P. System and method for filtering unwanted internet protocol traffic based on blacklists
US9705913B2 (en) * 2015-10-29 2017-07-11 Intel Corporation Wireless hotspot attack detection
US20170329892A1 (en) * 2016-05-10 2017-11-16 Accutar Biotechnology Inc. Computational method for classifying and predicting protein side chain conformations
CN108665064B (zh) * 2017-03-31 2021-12-14 创新先进技术有限公司 神经网络模型训练、对象推荐方法及装置
CN107085616B (zh) * 2017-05-31 2021-03-16 东南大学 Lbsn中一种基于多维属性挖掘的虚假评论可疑地点检测方法
CN107612938A (zh) * 2017-10-27 2018-01-19 朱秋华 一种网络用户异常行为检测方法、装置、设备及存储介质
CN108269012A (zh) * 2018-01-12 2018-07-10 中国平安人寿保险股份有限公司 风险评分模型的构建方法、装置、存储介质及终端

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170061322A1 (en) * 2015-08-31 2017-03-02 International Business Machines Corporation Automatic generation of training data for anomaly detection using other user's data samples
CN107067157A (zh) * 2017-03-01 2017-08-18 北京奇艺世纪科技有限公司 业务风险评估方法、装置及风控系统
CN107169534A (zh) * 2017-07-04 2017-09-15 北京京东尚科信息技术有限公司 模型训练方法及装置、存储介质、电子设备
CN108206046A (zh) * 2017-12-28 2018-06-26 新华三大数据技术有限公司 一种数据处理方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
HOU, AI-HUA ET AL: "Research on Traffic Anomaly Detection Method Based on the Logistic Regression Model", CHINESE JOURNAL OF ENGINEERING MATHEMATICS, vol. 34, no. 5, 1 October 2017 (2017-10-01), pages 479 - 489, XP055700017, ISSN: 1005-3085, DOI: 10.3969/j.issn.1005-3085.2017.05.004 *

Also Published As

Publication number Publication date
CN109639633A (zh) 2019-04-16
CN109639633B (zh) 2021-11-12

Similar Documents

Publication Publication Date Title
WO2020087758A1 (zh) 异常流量数据识别方法、装置、计算机设备和存储介质
CN106294508B (zh) 一种刷量工具检测方法及装置
CN104408640B (zh) 应用软件推荐方法及装置
CN106295351B (zh) 一种风险识别方法及装置
CN106327230B (zh) 一种异常用户检测方法及设备
CN111144941A (zh) 商户评分的生成方法、装置、设备及可读存储介质
WO2021262344A1 (en) Method and apparatus to detect scripted network traffic
CN112488716A (zh) 一种异常事件检测系统
WO2025232412A1 (zh) 计算信息获取方法、装置、设备及介质
CN109583211A (zh) 网站聚类及漏洞扫描方法、装置、电子设备及存储介质
CN110569475A (zh) 一种网民影响力的评估方法、装置、设备和存储介质
CN110991241B (zh) 异常识别方法、设备及计算机可读介质
WO2023052810A1 (en) Modelling and optimization of quality of experience
CN109858632B (zh) 一种确定阈值的方法及装置
CN110880117A (zh) 虚假业务识别方法、装置、设备和存储介质
CN103840978B (zh) 一种获取kqi门限的方法及设备
CN107291767B (zh) 任务执行时间的优化处理方法和装置
CN111277451A (zh) 一种业务评估方法、装置、终端设备和介质
CN111431909B (zh) 用户实体行为分析中分组异常检测方法及装置、终端
WO2025246462A1 (zh) 行为欺诈预测方法、装置及电子设备
CN110830499B (zh) 一种网络攻击应用检测方法和系统
CN113516398A (zh) 基于分层抽样的风险设备识别方法、装置及电子设备
CN109617925A (zh) 一种针对网络攻击的防护、区间标记的设置方法及系统
JP5806630B2 (ja) アプリケーション検査システム
CN114429177B (zh) 设备指纹特征筛选方法、装置、电子设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18939047

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18939047

Country of ref document: EP

Kind code of ref document: A1